ジャーナリストのためのデジタル自己防衛術：入門編

投稿日:

文：​マーティン・シェルトン
翻訳：エァクレーレン 

この記事はthe Global Investigative Journalism Network (GIJN)によって公開されました。日本語訳はGIJNのご支援のもと報道実務家フォーラムが公開したものです。貴重な情報を提供してくださり心より感謝申し上げます。

This story was originally published by the Global Investigative Journalism Network.
J-Forum publish the Japanese translation with GIJN’s support. 
We’re grateful to GIJN for offering and allowing to translate it into Japanese. 

落ち着いて自分の身を守ろう

筆者がまとめた最新のツール・リストはこちら。

写真キャプション：自分の「壁」を守るには（Peter Levy）

　ジャーナリストの心得として、デジタル領域における自己防衛が重要な要素になりつつある。ウェブカメラの乗っ取り、メールの盗み見、なりすましなど、一般のデジタル生活上のリスクはもちろんのこと、報道に関わる人間の場合は、問題はさらに重大である。報道の世界は、日常的な脅威のみならず、国家をバックにしたデジタル攻撃を最も浴びやすいターゲットに入っているからだ。

　とはいえ、「セキュリティ」とはすべてに鍵を掛けることではない。あらゆるものが脅威に晒されているとすれば、無力感に囚われる。セキュリティとはむしろ、特に安全を守ることが大切な情報へのアクセスを困難にすることなのだ。「完璧なセキュリティ」は存在しない。むしろ、より強固な防壁を構築し、他人が同意無しに自分のデータにアクセスすることを難しくするのが肝心である。

具体的な脅威にフォーカスする

どの情報を守りたいのか、誰がそれを欲しがるのか、どんな方法でその情報を盗むことができるか、そのセキュリティ・ギャップに対処するために何ができるかを考えよう。セキュリティ専門家はこの作業を脅威モデリングと呼んでいる。

　ジャーナリストにとっては、セキュリティと抽象的なものと考えず、脅威モデルについて考えるほうが、具体的な問題と解決策にフォーカスしやすくなる。たとえば、わずかな例外はあるが、ほとんどのジャーナリストは、諜報機関の直接的なターゲットになる可能性は低い。大半は、むしろ個々の記事に関連してニュースソースが特定されてしまうことに気を遣うべきだ。ジャーナリストの多くは毎日メールを通じて無数の文書を開く必要があるが、悪意あるファイルやリンクは避けなければならない。とにかく表沙汰になる厄介なデータ漏洩は避けたいと思っているだけの人も多い。

暗号化を理解しよう

　他人が自分のデータにアクセスしにくくする最も効果的な方法の一つが、暗号化を利用することだ。

　自分と他のオンラインサービスのあいだでやり取りするメッセージの内容を保護するうえで、暗号化は有効だ。考えてみれば、ハガキを送る場合は、誰でも読みたいと思えば配達途中でいくらでも文面を読める状態である。インターネットも同じように機能している。たとえば、オープンなWiFiアクセスポイントに接続する場合、そのネットワークを利用している人なら誰でも、セキュアでないトラフィックの流れを判読可能なテキストで見ることができる。

　では、どうすればいいのか。ほとんどの場合、私たちはルーティンワークに勤しんでおり、それほど警戒心は強くない。しかしその場合でも、やはり自分のデータを監視されることは最小限に留めたいものだ。

もっと安全にウェブに接続するには

Gif：「Tor ブラウザ」チュートリアル1
  • WiFiネットワークに接続している場合、暗号化された接続を実現するために仮想プライベートネットワーク（VPN）の利用も考えておこう。自分のトラフィックをすべてリモートの場所を経由させる仕組みだ。このリモートの場所では依然として暗号化されていないトラフィックを読むことができるが、ローカルなネットワーク上では暗号化されている。これはカンファレンスに出席しているときやインターネットカフェを利用しているときに自分のトラフィックを保護するうえで役に立つかもしれない。ローカルネットワーク内での盗聴から自分のウェブトラフィックを保護するための低価格サービスはいくらでもある。自分の所属する編集部のネットワークを経由する通信ができないかどうか、VPNの導入状況をチェックしておくのもいいだろう。
  • IPアドレスなど、もっと大まかな識別子［による特定］もある。暗号化によってウェブトラフィックを匿名化するために、「Torブラウザ」を使うことも検討しよう。Torを使うと、ウェブブラウズの際のトラフィックがどこか別の場所から来ているように見え、ローカルネットワーク上では暗号化される。センシティブな調査を行っているときは有益だろう。どうしても必要な場合を除いて、Torブラウザでは個人の特定に繋がる情報の入力は避けよう。
Gif：「Tor ブラウザ」チュートリアル2

強力な認証を用いる

　攻撃者が自分のアカウントにアクセスすることを阻止するには、質の良いパスワードを使うことが唯一の法法である場合が多い。

  • あなたがどこでも同一のパスワードを使っているのは誰もが先刻承知である。すぐに止めよう。
  • パスワードマネジャー（パスワード管理ソフト）を使ってみてはいかがだろうか。パスワードマネジャーを使えば、自分のパスワードすべてを管理し、無作為なパスワードを生成することも簡単になる。ウェブブラウザに自動でパスワード入力を行う手段としても便利で、ウェブ上でのフォーム入力の時間も節約できるし、イライラも減らせる。 最も人気があるツールとしては、「1Password」と「KeePassX」がある（無料）。

　可能な場合は常に二要素認証を使うべきだが、特に、主力として使っているメールアカウントでは利用したい。誰かが少なくともメールアカウントにアクセスしてしまえば、メールによる認証を使ってパスワードを再設定することで、他のオンラインアカウントにも侵入されてしまう。Gmailのユーザーは、ここで二要素認証を設定することができる。

サードパーティに注意する

　もちろん、安全な方法でウェブに接続していても、接続先がユーザーの活動に関する情報を第三者と共有する権限を持っていれば、通信内容が漏れる可能性はある。たとえば、編集部が独自のメールサーバを運用している場合は別として、通信内容の暗号化を解除（復号）できる専用メール事業者を使っている可能性は残る。このような報道機関は多い。同様に、情報提供者とのコミュニケーションにおいては、メタデータの形で「パン屑」を残してしまうことが多い。つまり、誰がいつ、誰とどれくらい会話したかといった情報だ。これは報道機関にとって架空の想定でのトラブルではない。たとえば米司法省は2013年、複数の電話会社に対し、AP通信社の記者の通話記録2ヶ月分を証拠として提出するよう命じた。つまり私たちは、（好むと好まざるとにかかわらず）第三者へのデータ開示を行いかねない企業に自分のデータを委ねている場合が多い、ということだ。

コミュニケーションの安全性を高めるには

　同僚や情報提供者とのコミュニケーションのセキュリティを確保することは、以前よりも容易になりつつある。

  • ショートメッセージや電話のプライバシーが心配ならば、iOSやAndroid用の「Signal」というアプリを使うといい。自分と会話する際には、情報提供者にもこのアプリを使ってもらおう。Signalは、最優先で使われるデフォルトのメッセージアプリとして使いやすい。
  • iOSやAndroid用アプリ「WhatsApp」では、すでにエンド・トゥ・エンドの暗号化が用いられている。WhatsAppもSignalと同様の暗号化を使っている。ユーザー数は数億人を数え、情報提供者がすでにWhatsAppを使っている可能性はあるから、お互いに登録し合うだけで済む。ただし、SignalもWhatsAppもユーザーの匿名性を提供していないことは忘れずにいたい（注意：このアドバイスは、2019年にWhatsAppの脆弱性に対する懸念が指摘されたことを受け、ジャーナリスト保護委員会（Committee to Protect Journalists）が発したものである）。
  • PGPで、メールの内容の暗号化に使える。PGPを使う場合、メールの表題とアドレス欄の安全性は確保されない。PGPのオープンソース版実装であるGnuPGPは、Mac OS X、Windows、Linuxで利用できる。PGPはかなり複雑で、設定に相当の時間と労力が必要なので、セキュリティ関係者のあいだでは賛否が分かれている。また、ユーザーのセキュリティを損なうようなミスも非常に起りやすい。現時点では、PGPはメッセージのメタデータ部分ではなく、メールの内容を暗号化するだけである。メールのやり取りに誰が参加しているかを秘匿してくれないという点は重要だ。つまり、情報提供者の匿名性を守るにはPGPは役に立たない。

　匿名性を維持するには、やり取りのメタデータに注目する必要がある。

  • チャットの際にもっとプライバシーを守りたいのであれば、「Ricochet」を使い、Torのネットワーク上で匿名のコミュニケーションをとろう。あるいは、「Tor Messenger」も似たような機能を提供している。またTor Messengerは、グーグルのメッセンジャーアプリ「Hangouts」などの純正サービス経由で暗号化されたメッセージを送るオプションも提供しているが、完全にオプション扱いである。ここまで挙げたのは、メタデータとメッセージの内容を保護する最も使いやすいツールの例だ。残念ながら、情報提供者が通常の電話やテキストメッセージ、メールで連絡してきた場合には、すでにメタデータの痕跡が生じてしまっている。（たとえば記事の署名や仕事上のサイトなど）自分の連絡先に関する情報には、必要に応じて、匿名の経路を通じて連絡を取れることが情報提供者に伝わるよう明示しておこう。 
  • 情報提供者が匿名でジャーナリストに連絡し、あるいはファイルを共有することを支援する優れたツールがある。たとえば報道の自由財団が運営している「SecureDrop」だ。もちろん、SecureDropを正しく使うには、情報提供者の側に並外れた慎重さが求められる。The InterceptがSecureDropを使った情報リークの入門ガイドで書いているように、うっかり個人データをリークしてしまう状況はたくさんある。 
  • それぞれの状況によるが、デジタルな痕跡を最小限に留めるには、誰か別の人の電話を使って話す、あるいは単に直接会ってしまうのが簡便だとも言える。セキュリティ上の脅威を「より小さく」したいのであれば、こうした方法が合理的なソリューションかもしれない。

日常的なプライバシーとセキュリティ

　オンラインで自分の身を守る最も簡単な方法の多くは、一度きりの設定で済む。その後は、相対的には些細な努力で、セキュリティ上のメリットが得られる。

  • HTTPプロトコルによるウェブサイトの多くでは、セキュリティの高いHTTPSバージョンも用意されている。ブラウジングの際に意識せずにセキュリティの高い接続にアップグレードするには、FirefoxやChrome用の拡張機能「HTTPS Everywhere」をダウンロードしよう。
Gif：「HTTPS Everywhere」チュートリアル
  • 多くのウェブサイトでは、ウェブを渡り歩いているときにブラウザに保存されるクッキーと呼ばれるファイルを使って、ユーザーの所在を受動的に追跡している。こうしたクッキーをまとめると、ユーザーがオンラインでどのサイトを訪れたかがかなり正確に把握できる。ChromeやFirefox（※Firefoxでは現在サービス停止）では拡張機能「Privacy Badger」を使うことで、クッキーによる追跡を簡単にブロックできる。
Gif：「Privacy Badger」
  • 第三者のサーバにファイルを置くことに不安があるなら、「ゼロ・ナリッジ」型のクラウドサービスを使ってみよう。サーバ側ではデータを復号するキーを持たないので、データを預けつつプライバシーを維持することができる。たとえば「SpiderOak」というサービスでは、ほぼDropboxと同じように、受動的にファイルをバックアップする。同様に、やはり「ゼロ・ナリッジ」型サービスの「CrashPlan」は、デバイスを使えなくなった場合に備えて、ハードディスクのバックアップを取ることができる。ただし利点ばかりではない。ほとんどの「ゼロ・ナリッジ」型サービスは、パスワードを忘れてしまった場合に自分のアカウントを簡単に復活させることができない。アクセスしやすく安全な場所にパスワードを保存しておくことが大切になる。
  • ​URLをクリックする前には注意深く見ておこう。何か変だと思ったら、その勘は正しい。自分がアクセスしたいサイトのふりをした偽装リンクかもしれない。ハッカーたちは私たちの見落としにつけ込んで、偽装したフィッシングサイトのURLを送り込み、正しいユーザーネームとパスワードを入力させる。たとえば「paypal.com」「paypal.server1314.com」「paypa1.com」（小文字のエルではなく数字の1） は、注意していなければほとんど同じように見える。報道の自由財団は、フィッシング詐欺から身を守る方法を詳細に解説した素晴らしいガイドを発行している。
  • （メールなどで）受信した文書に疑念がある場合には、どれだけ興味をそそられるものでも、自分のコンピューターで開かないようにしよう。ここでも、ファイルを実行する前にはマルウェアへの警戒が必要だ。ファイルの拡張子は理にかなっているだろうか。文書ファイルなら「.pdf」や「.doc」になっているはずだが、誰かが「.exe」という拡張子のファイルを文書ファイルと称して送ってきたら、何かがおかしい。まともそうに見えるファイルでさえ、マルウェアが仕込まれている可能性はある。疑わしい文書を自分のコンピューター上で開くよりも、Google Documentを使って開いてみよう。グーグルがそのファイルにアクセスすることに問題がなければ、これが文書の安全性を確かめる手軽で効果的な方法になりうる。
  • もちろん、自分のデバイス、ソフトウェア、ウイルス対策ソフトを定期的に最新の状態に更新しておこう。可能な限り、重要な更新は自動的に行われるようにしておくといい。攻撃者に対して先手を打つためにジャーナリストとしてできることのうち、これが最も重要なことの一つだ。ハッカー、研究者、セキュリティ企業はたえずソフトウェアの新たなセキュリティホールを発見しており、ときにはこうしたセキュリティホールが悪意ある者によって脆弱なシステムへの侵入に利用されてしまう。更新は面倒かもしれないが、こうしたセキュリティホールを塞ぐ手軽な方法になりうる。

デバイス自体を暗号化してしまう

　セキュリティの甘いデバイスを誰かに盗まれてしまったら、簡単にファイルにアクセスされ、ハードディスクをコピーされてしまう。幸い、ジャーナリストがデバイス自体を暗号化することも簡単だ。新しめのiPhoneを持っていてパスコードを設定しているなら、そのiPhoneがすでに暗号化されている可能性は高い。またAndroidデバイスを暗号化する方法は、ここで紹介されている。Mac OS Xを使っている場合、「FileVault」を使って暗号化できる。同様に、Windowsユーザーの場合、バージョンによっては「BitLocker」を使ってドライブを暗号化することが可能だ。

最後に、やるべきだと分かっていることは実行しよう。筆者が訪れた編集部のなかにも、ジャーナリストがコンピューターから離れる際にスクリーンロックを掛けていないところがいくつもあった（Windowsの場合、Windowsキー＋Lでロックしよう。Macの場合、ホットコーナーを使えばすぐにロックできる）。素性の知れないUSBメモリを自分のデバイスに挿したり、未知の人から送られたファイルを開くのは避けよう。悪意あるソフトウェアが仕込まれているかもしれない。

シンプルに、今すぐ始めよう

​デジタル世界におけるセキュリティに「これだけでOK」というソリューションは存在しない。だがここで紹介した内容は出発点として役に立つはずだ。セキュリティ関連の資料を調べて、自分を守る方法についてもっと詳しくなろう。以上のようなシンプルなセキュリティ習慣は、編集部をもっと安全な環境にするうえで有益である。セキュリティとは、情報提供者の信頼と安全を確保し、編集部のデータを侵入者に晒してしまう可能性を最小化するということだ。根本的には、自分の情報が流れる経路と、それをより良くコントロールする方法を理解することによって、より効果的なジャーナリズムを実現することなのである。

この記事はウェブサイト「Source」で最初に発表された。許可を得て転載。


マーティン・シェルトン（Martin Shelton）は2016年度ナイト・モジラ・オープンニュース・フェローとして、ニューヨークタイムズの「コーラル・プロジェクト」に協力している。 マーティンは、ジャーナリズムと情報セキュリティについて学ぶコミュニティ「ティンフォイル・プロジェクト」を運営している。 以前はグーグルのプライバシー調査・設計チーム、ピュー・リサーチ、ツイッターでインターンとして働いていた。

原文はこちら：Digital Self-Defense for Journalists: An Introduction
この翻訳はGoogle News InitiativeとGoogle Asia Pacificの支援を受けて行われました。
This translation is supported by the Google News Initiative and Google Asia Pacific.
Creative Commons Attribution-NonCommercial 4.0 International licence